Szenario 3: Socket Inc. ist ein dynamisches Telekommunikationsunternehmen, das auf drahtlose Produkte und Dienstleistungen spezialisiert ist und sich der Bereitstellung hochwertiger und sicherer Kommunikationslösungen verschrieben hat. Socket Inc. nutzt innovative Technologien, darunter die für ihre hohe Verfügbarkeit, Skalierbarkeit und Flexibilität bekannte MongoDB-Datenbank, um seinen Kunden zuverlässige, zugängliche, effiziente und gut organisierte Dienste bereitzustellen. Kürzlich war das Unternehmen mit einer Sicherheitsverletzung konfrontiert, bei der externe Hacker die Standardeinstellungen seiner MongoDB-Datenbank ausnutzten, da ein Versehen in den Konfigurationseinstellungen nicht ordnungsgemäß behoben worden war. Glücklicherweise verhinderten sorgfältige Datensicherungen und die zentrale Protokollierung über einen Server den Informationsverlust. Als Reaktion auf diesen Vorfall nahm Socket Inc. eine gründliche Bewertung seiner Sicherheitsmaßnahmen vor. Das Unternehmen erkannte die dringende Notwendigkeit, seine Informationssicherheit zu verbessern, und beschloss, ein Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 zu implementieren.
Um die Datensicherheit zu verbessern und die Ressourcen zu schützen, hat Socket Inc. Zugangskontrollen und sichere Zugangspunkte eingeführt. Diese Maßnahmen sollen unbefugten Zugriff auf kritische Bereiche mit sensiblen Daten und wichtigen Vermögenswerten verhindern. In Übereinstimmung mit den geltenden Gesetzen, Vorschriften und ethischen Standards führte Socket Inc. vor der Einstellung Hintergrundüberprüfungen durch, die auf die Geschäftsanforderungen, die Informationsklassifizierung und die damit verbundenen Risiken zugeschnitten waren. Darüber hinaus wurde ein formalisiertes Disziplinarverfahren zur Ahndung von Richtlinienverstößen eingeführt. Zusätzlich wurden Sicherheitsmaßnahmen für Mitarbeiter im Homeoffice implementiert, um den Zugriff auf, die Verarbeitung oder die Speicherung von Informationen außerhalb des Unternehmensgeländes zu schützen.
Socket Inc. schützte seine Informationsverarbeitungsanlagen vor Stromausfällen und anderen Störungen. Um unbefugten Zugriff auf kritische Datensätze aus externen Quellen zu verhindern, implementierte Socket Inc. Datenflusskontrolldienste, um unbefugten Zugriff zwischen Abteilungen und externen Netzwerken zu verhindern. Darüber hinaus nutzte Socket Inc. Datenmaskierung auf Grundlage der allgemeinen Richtlinien des Unternehmens zur Zugriffskontrolle und anderer damit verbundener allgemeiner Richtlinien und Geschäftsanforderungen unter Berücksichtigung der geltenden Gesetzgebung. Darüber hinaus aktualisierte und dokumentierte Socket Inc. alle Betriebsabläufe der Informationsverarbeitungsanlagen und stellte sicher, dass diese ausschließlich der Geschäftsleitung zugänglich waren.
Das Unternehmen implementierte außerdem eine Kontrolle zur Definition und Umsetzung von Regeln für den effektiven Einsatz von Kryptografie, einschließlich der Verwaltung kryptografischer Schlüssel, um die Datenbank vor unbefugtem Zugriff zu schützen. Die Implementierung basierte auf allen relevanten Vereinbarungen, Gesetzen, Vorschriften und dem Informationsklassifizierungsschema. Zur Verbesserung der Sicherheit und zur Reduzierung des Verwaltungsaufwands wurde eine Netzwerktrennung mittels VPNs vorgeschlagen.
Socket Inc. hat die Sicherheitskontrollen in Gruppen zusammengefasst und in einem einzigen Dokument zusammengefasst. Darüber hinaus implementierte Socket Inc. ein neues System zur Verwaltung, Erfassung und Analyse von Informationen über Bedrohungen der Informationssicherheit und zur Integration der Informationssicherheit in das Projektmanagement.
Beantworten Sie basierend auf dem obigen Szenario die folgende Frage:
Hat Socket Inc. basierend auf Szenario 3 die Anforderungen von ISO/IEC 27001 bezüglich der dokumentierten ISMS-Informationen eingehalten?

• A. Ja, der Standard erfordert, dass alle Sicherheitskontrollen in einem einzigen Dokument enthalten sind
• B. Ja, es gibt keine verbindliche Anforderung zur Dokumentation von Prozessen oder Sicherheitskontrollen im Standard
• C. Nein, Socket Inc. hat alle Steuerelemente einer Gruppe in einem einzigen Dokument zusammengefasst, während der Standard vorschreibt, dass die Steuerelemente in vier Gruppen dokumentiert werden müssen.

Infralink ist ein mittelständisches IT-Beratungsunternehmen mit Hauptsitz in Dublin, Irland. Es ist spezialisiert auf sichere Cloud-Infrastruktur, Softwareintegration und Datenanalyse und betreut einen vielfältigen Kundenstamm aus den Bereichen Gesundheitswesen, Finanzdienstleistungen und Recht, darunter Krankenhäuser, Versicherungen und Anwaltskanzleien. Zum Schutz sensibler Kundendaten und zur Sicherstellung der Geschäftskontinuität hat Infralink ein Informationssicherheits-Managementsystem (ISMS) gemäß den Anforderungen der ISO/IEC 27001 implementiert.
Bei der Entwicklung seiner Sicherheitsarchitektur setzte das Unternehmen auf Dienste zur zentralen Benutzeridentifizierung und abteilungsübergreifenden, gemeinsamen Authentifizierung. Diese Dienste regelten auch die Erstellung und Verwaltung von Zugangsdaten innerhalb des Unternehmens. Darüber hinaus implementierte Infralink Lösungen zum Schutz sensibler Daten während der Übertragung und im Ruhezustand, um Vertraulichkeit und Integrität in allen Systemen zu gewährleisten.
Zur Vorbereitung der Implementierung von Informationssicherheitsmaßnahmen stellte das Unternehmen die Verfügbarkeit der notwendigen Ressourcen, die Kompetenz des Personals und eine strukturierte Planung sicher. Es führte eine Kosten-Nutzen-Analyse durch, legte Implementierungsphasen fest und erstellte Dokumentationen sowie Checklisten für jede Phase. Die angestrebten Ergebnisse wurden klar definiert, um die Sicherheitsmaßnahmen mit den Geschäftszielen in Einklang zu bringen.
Infralink begann mit der Implementierung mehrerer Kontrollen aus Anhang A der ISO/IEC 27001. Dazu gehörten die Regelung des physischen und logischen Zugriffs auf Informationen und Assets gemäß den Geschäfts- und Informationssicherheitsanforderungen, das Management des Identitätslebenszyklus sowie die Einrichtung von Verfahren zur Erteilung, Überprüfung, Änderung und zum Entzug von Zugriffsrechten. Kontrollen im Zusammenhang mit der sicheren Zuweisung und Verwaltung von Authentifizierungsinformationen sowie die Einrichtung von Regeln oder Vereinbarungen für die sichere Datenübertragung wurden jedoch noch nicht implementiert. Im Rahmen der Dokumentation stellte das Unternehmen sicher, dass alle ISMS-bezogenen Dokumente die Rückverfolgbarkeit durch Titel, Erstellungs- oder Aktualisierungsdatum, Autorennamen und eindeutige Referenznummern gewährleisten. Beantworten Sie vor dem Hintergrund des oben beschriebenen Szenarios die folgende Frage.
Welche Aspekte hat Infralink gemäß Szenario 3 bei der Dokumentation der ISMS-Informationen sichergestellt?

• A. Identifizierung und Beschreibung
• B. Terminplanung für Überprüfung und Genehmigung
• C. Format und Medien

Szenario 6: GreenWave
GreenWave, ein Hersteller nachhaltiger und energieeffizienter Haushaltsgeräte, ist spezialisiert auf solarbetriebene Geräte, Ladestationen für Elektrofahrzeuge und intelligente Thermostate. Um Kundendaten und interne Abläufe vor digitalen Bedrohungen zu schützen, hat das Unternehmen ein Informationssicherheits-Managementsystem (ISMS) gemäß ISO/IEC 27001 implementiert. GreenWave erforscht zudem innovative IoT-Lösungen zur weiteren Verbesserung der Energieeffizienz in Gebäuden. GreenWave verpflichtet sich zu einem hohen Standard an Informationssicherheit in allen Geschäftsbereichen. Im Rahmen seines kontinuierlichen Verbesserungsprozesses ermittelt das Unternehmen derzeit die erforderlichen Kompetenzniveaus für das Management seines ISMS. GreenWave berücksichtigte bei der Definition dieser Kompetenzanforderungen verschiedene Faktoren, darunter technologische Fortschritte, regulatorische Vorgaben, die Unternehmensmission, strategische Ziele, verfügbare Ressourcen sowie die Bedürfnisse und Erwartungen seiner Kunden. Darüber hinaus hält das Unternehmen an den Kommunikationsanforderungen der ISO/IEC 27001 fest. Es wurden klare Richtlinien für die interne und externe Kommunikation im Zusammenhang mit dem ISMS erstellt, die festlegen, welche Informationen wann, mit wem und über welche Kanäle geteilt werden. Allerdings wurden nicht alle Kommunikationsvorgänge formell dokumentiert; stattdessen klassifizierte und verwaltete das Unternehmen die Kommunikation nach seinen Bedürfnissen und stellte sicher, dass die Dokumentation nur in dem Umfang geführt wurde, der für die Wirksamkeit des ISMS erforderlich war.
GreenWave hat den Einsatz von KI-Lösungen untersucht, um Kundenpräferenzen besser zu verstehen und personalisierte Empfehlungen für Elektronikprodukte zu geben. Ziel war es, KI-Technologien zur Verbesserung der Problemlösungskompetenz und zur Bereitstellung von Kundenvorschlägen zu nutzen. Diese strategische Initiative steht im Einklang mit GreenWaves Bestreben, das Kundenerlebnis durch datengestützte Erkenntnisse zu optimieren.
GreenWave suchte außerdem nach einer flexiblen Cloud-Infrastruktur, die es dem Unternehmen ermöglicht, bestimmte Dienste auf einer internen und sicheren Infrastruktur und andere Dienste auf externen und skalierbaren Plattformen zu hosten, die von überall aus zugänglich sind. Diese Konfiguration würde verschiedene Bereitstellungsoptionen ermöglichen und die Informationssicherheit verbessern, die für die Entwicklung elektronischer Produkte von GreenWave von entscheidender Bedeutung ist. Laut GreenWave wurde die Implementierung zusätzlicher Kontrollen im Rahmen des ISMS-Implementierungsplans erfolgreich abgeschlossen, und das Unternehmen war bereit, in den operativen Betrieb überzugehen. GreenWave beauftragte Colin mit der Bestimmung der Wesentlichkeit dieser Änderung innerhalb des Unternehmens.
Frage:
Hat GreenWave die zur Unterstützung ihres ISMS erforderlichen Kompetenzniveaus angemessen ermittelt?

• A. Nein – da GreenWave externe Aspekte, die für das ISMS relevant sind, nicht berücksichtigt hat.
• B. Ja – weil GreenWave nur die internen Faktoren berücksichtigt hat, die für den Betrieb des Unternehmens am wichtigsten sind.
• C. Ja – weil GreenWave externe Aspekte, interne Faktoren sowie die Bedürfnisse und Erwartungen relevanter Interessengruppen berücksichtigt hat.

Szenario 10: NetworkFuse entwickelt, produziert und vertreibt Netzwerkhardware. Das Unternehmen verfügt seit etwa zwei Jahren über ein betriebliches Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 und ein Qualitätsmanagementsystem (QMS) nach ISO 9001. Kürzlich hat das Unternehmen ein kombiniertes Zertifizierungsaudit beantragt, um die Zertifizierung nach ISO/IEC 27001 und ISO 9001 zu erhalten.
Nach der Auswahl der Zertifizierungsstelle bereitete NetworkFuse die Mitarbeiter auf das Audit vor. Das Unternehmen entschied sich, vor dem Audit keine Selbstevaluierung durchzuführen, da dies nach Ansicht der Unternehmensleitung nicht notwendig war. Darüber hinaus stellte es die Verfügbarkeit dokumentierter Informationen sicher, darunter interne Auditberichte und Managementbewertungen, vorhandene Technologien und der allgemeine Betrieb des ISMS und des QMS. Das Unternehmen verlangte jedoch von der Zertifizierungsstelle, dass die Dokumentation nicht außerhalb des Unternehmens durchgeführt werden könne. Das Audit wurde jedoch nicht innerhalb der vorgesehenen Tage durchgeführt, da NetworkFuse den zugewiesenen Leiter des Auditteams ablehnte und dessen Ersatz anforderte. Das Unternehmen behauptete, dass derselbe Leiter des Auditteams eine Empfehlung zur Zertifizierung an seinen Hauptkonkurrenten ausgesprochen habe, was für die Unternehmensleitung einen potenziellen Interessenkonflikt darstellte. Die Anfrage wurde von der Zertifizierungsstelle abgelehnt. NetworkFuse sollte _________________ sicherstellen, dass die Mitarbeiter auf das Audit vorbereitet sind. Siehe Szenario 10.

• A. Beachten Sie die verwendeten Technologien
• B. Führen Sie Übungsinterviews durch
• C. Wählen Sie eine Zertifizierungsstelle, die kombinierte Audits anbietet